Povreda podataka Reqrea hotela izlaže više od 1 milijun putovnica
Pogrešno konfiguriran oblak pohrane podataka tvrtke Reqrea, japanskog pružatelja tehnologije za ugostiteljstvo, ostavio je više od milijun identifikacijskih dokumenata dostupnima na internetu, potencijalno godinama. Putovnice, vozačke dozvole i fotografije za biometrijsku verifikaciju lica bile su dostupne bez autentifikacije, u onome što istraživači sigurnosti nazivaju jednom od najznačajnijih povreda identifikacijskih podataka pri hotelskoj prijavi iz azijsko-pacifičkog ugostiteljskog sektora. Podaci su sada osigurani, no prozor izloženosti seže unatrag najmanje do 2020. godine, što postavlja ozbiljna pitanja o tome koliko su dugo pogođeni putnici bili nesvjesno izloženi riziku.
Što je Reqrea izložio i tko je izložen riziku
Reqrea pruža infrastrukturu za digitalnu prijavu hotelima i operaterima kratkoročnog smještaja. Kao i mnogi moderni dobavljači tehnologije za ugostiteljstvo, njihova platforma obrađuje verifikaciju identiteta kao dio postupka uvođenja gostiju, snimajući skenirane državne identifikacijske dokumente i biometrijske fotografije radi potvrde identiteta gosta prije ili po dolasku.
Izloženi oblak pohrane sadržavao je više od milijun zapisa, uključujući potpune skenove putovnica, slike vozačkih dozvola i fotografije lica korištene za podudaranje identiteta. Priroda podataka upućuje na to da povreda pogađa međunarodne putnike koji su boravili u objektima koji koriste Reqrein sustav, potencijalno obuhvaćajući više zemalja i nacionalnosti. Istraživač sigurnosti otkrio je pogrešnu konfiguraciju i prijavio je, što je potaknulo Reqreu da osigura pohranu. Javno nije potvrđen pristup napadača, no s obzirom na višegodišnji prozor izloženosti, ta mogućnost ne može se isključiti.
Kako dobavljači tehnologije za ugostiteljstvo postaju slaba karika za putnike
Kada gosti predaju putovnicu pri prijavi u hotel, obično pretpostavljaju da će se s tim dokumentom rukovati i da će biti odgovorno uklonjen. Ono što mnogi putnici ne shvaćaju jest da hotel sam često ne upravlja tim podacima izravno. Umjesto toga, oni prolaze kroz dobavljače tehnologije trećih strana poput Reqree, koji napajaju digitalnu infrastrukturu iza recepcijskih pultova i kioska za samoposluživanje.
To stvara višeslojni problem odgovornosti. Hoteli su vezani lokalnim zakonima o zaštiti podataka i propisima o ugostiteljstvu, ali dobavljači koje koriste mogu poslovati pod različitim nadležnostima ili primjenjivati nedosljedne sigurnosne standarde. Pogrešno konfiguriran oblak pohrane, jedna od najčešćih i najlakše spriječivih metoda izlaganja podataka, osnovna je infrastrukturna pogreška koju bi zreli sigurnosni program trebao otkriti prije implementacije, a kamoli dopustiti da traje godinama.
Ovo nije izoliran slučaj. Ugostiteljski sektor postao je ponavljajuća meta i izvor incidenata s podacima zbog količine osjetljivih osobnih informacija koje prolaze kroz njegove sustave. Zasebna povreda koja je pogodila hotelske goste u više zemalja izložila je pet milijuna ljudi kroz kompromitirane platforme za upravljanje ugostiteljstvom, ilustrirajući koliko je ovaj ekosustav međusobno povezan i ranjiv.
Zašto su biometrijski podaci i podaci o dokumentima posebno opasni kada procure
Nisu sve povrede podataka jednako posljedične. Procurjela e-mail adresa može se oporaviti. Procurjela putovnica ne može.
Državni identifikacijski dokumenti koriste se kao temeljne vjerodajnice za verifikaciju identiteta u bankarstvu, imigraciji, zapošljavanju i pravnim sustavima. Kada sken putovnice visoke razlučivosti dospije u ruke zlonamjernog aktera, može se koristiti za otvaranje lažnih financijskih računa, stvaranje sintetičkih identiteta ili zaobilaženje provjera identiteta koje se oslanjaju na slike dokumenata umjesto na fizički pregled.
Fotografije za biometrijsku verifikaciju lica uvećavaju ovaj rizik. Biometrijski podaci sve se više koriste u sustavima autentifikacije, a za razliku od lozinke, lice se ne može promijeniti. Kombinacija skena putovnice i odgovarajuće fotografije lica pruža gotovo sve što je potrebno za lažno predstavljanje nekoga i u digitalnom i u fizičkom kontekstu.
Žrtve ove vrste povrede možda neće odmah iskusiti štetu. Prijevara identiteta temeljena na ukradenim državnim dokumentima često se pojavljuje mjesecima ili godinama kasnije, što otežava njezino praćenje do konkretnog incidenta i otežava sanaciju.
Kako putnici mogu ograničiti svoju izloženost kada hoteli zahtijevaju osobnu iskaznicu
Putnici imaju ograničenu pregovaračku moć kada hotel zahtijeva verifikaciju identiteta pri prijavi, no postoje praktični koraci koji smanjuju dugoročnu izloženost.
Prvo, postavljajte pitanja prije predaje dokumenata. Objekti su često zakonski obvezni evidentirati podatke o identitetu gosta, ali metoda pohrane nije uvijek propisana. Pitanje zadržavaju li se digitalni skenovi nakon prijave i koliko dugo razuman je zahtjev na koji bi odgovorni operater trebao moći odgovoriti.
Drugo, gdje god je moguće, preferirajte fizičku prezentaciju dokumenata umjesto digitalnog učitavanja. Ako aplikacija hotela traži da učitate fotografiju putovnice prije dolaska, razmotrite je li taj korak zakonski obvezan ili je jednostavno značajka pogodnosti. Manji broj digitalnih kopija znači manje točaka izloženosti.
Treće, proaktivno pratite svoj identitet nakon boravaka u objektima koji koriste sustave prijave trećih strana. Ako je vaša putovnica ili vozačka dozvola bila skenirana od strane dobavljača čije sigurnosne prakse ne možete provjeriti, periodične provjere znakova prijevare identiteta su vrijedne truda, posebno prije obnavljanja financijskih proizvoda ili podnošenja zahtjeva za bilo što što zahtijeva verifikaciju identiteta.
Konačno, budite informirani o objavama o povredama u ugostiteljskom sektoru. Hoteli i njihovi dobavljači nisu uvijek brzi u obavještavanju pogođenih gostiju, a vijesti o povredama često dolaze od istraživača sigurnosti prije nego što izađu službene komunikacije.
Što to znači za vas
Reqreina izloženost podsjetnik je da rizik od povrede identifikacijskih podataka pri hotelskoj prijavi nije hipotetski. Svaki put kada predajete državnu identifikacijsku ispravu operateru ugostiteljskog objekta, taj dokument ulazi u podatkovni cjevovod koji nemate uvid ni kontrolu nad njim. Problem je strukturalan: ugostiteljska industrija prikuplja izrazito osjetljive identifikacijske podatke u velikom razmjeru, distribuira ih kroz dobavljače tehnologije i povijesno je primjenjivala nedosljedno sigurnosno nadziranje.
Ako ste česti putnik, posebno onaj koji je koristio automatizirane sustave ili sustave prijave putem aplikacije u hotelima u Japanu ili drugim tržištima gdje Reqrea posluje, vrijedi pratiti vaše kreditne i identifikacijske zapise zbog neobičnih aktivnosti. Za širi kontekst o tome kako se ovi incidenti odvijaju u ugostiteljskom sektoru, izvještavanje o povredama podataka hotelskih gostiju koje pogađaju milijune putnika pruža korisnu pozadinu o razmjeru i obrascu ovih ranjivosti.
Zahtijevajte bolje od tvrtki kojima povjeravate svoje najosjetljivije dokumente. I kada putujete, pitajte tko zapravo čuva vaše podatke prije nego što ih predate.
